En clair
Ce que décide cette délibération, en clair
À la suite d'un signalement anonyme reçu le 27 août 2021, la CNIL a découvert une faille de sécurité sur le site web d'une société proposant des tests antigéniques contre le SARS-CoV-2. Un contrôle sur place le 9 septembre 2021 a confirmé que, malgré certaines mesures prises, le site continuait de présenter des insuffisances de sécurité mettant en danger la confidentialité des données traitées, notamment les résultats des tests et le numéro de sécurité sociale (NIR) des personnes. La Présidente de la CNIL a donc mis en demeure (c'est-à-dire ordonné formellement de corriger une situation illégale, sous peine de sanction) la société de régler ce manquement à l'obligation de sécurité des données (article 32 du RGPD) dans un délai de deux (2) mois. Le bureau de la CNIL a ensuite décidé de rendre cette mise en demeure publique, en raison de la sensibilité des données de santé concernées.
À retenir
- La CNIL a constaté un manquement à l'obligation de sécurité des données personnelles (article 32 du RGPD), notamment sur des données de santé (résultats de tests COVID) et le numéro de sécurité sociale.
- La société a reçu l'ordre de corriger ces failles de sécurité dans un délai de deux (2) mois, sous le régime de la mise en demeure (une injonction officielle avant sanction éventuelle).
- La CNIL a choisi de rendre cette mise en demeure publique pour informer les personnes concernées et alerter l'ensemble des acteurs de santé sur l'importance de sécuriser les données sensibles.
- Cette mise en demeure n'est pas une sanction : si la société se met en conformité dans le délai fixé, la procédure sera clôturée sans sanction, et son nom ne sera plus associé publiquement à cette décision après un délai de deux ans.
Résumé rédigé par Loilà à partir de la décision ci-dessous, qui seule fait foi.
Texte intégral
Délibération du bureau de la Commission nationale de l’informatique et des libertés n° MEDP-2021-001 du 11 octobre 2021 décidant de rendre publique la mise en demeure n° MED-2021-093 du 4 octobre 2021 prise à l’encontre de la société X
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 11 octobre 2021 sous la présidence de Madame Marie-Laure DENIS ;
Siégeaient, outre la Présidente de la Commission, Madame Sophie LAMBREMON, Vice-présidente déléguée, et Monsieur François PELLEGRINI, Vice-président ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED-2021-093 du 4 octobre 2021 de la Présidente de la Commission mettant en demeure la société X ;
A adopté la délibération suivante :
A la suite d’un signalement anonyme auprès des services de la CNIL le 27 août 2021 faisant état d’une faille de sécurité affectant le site web … , des vérifications en ligne conduites le jour même ont permis de constater l’existence et l’ampleur de la violation de données. Le 9 septembre 2021, une délégation a procédé à un contrôle sur place dans les locaux de la société X (ci-après, la société ) dans le but de vérifier la conformité des traitements de données à caractère personnel mis en œuvre par cette dernière avec le règlement n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel (ci-après, le RGPD ) et la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après, la loi Informatique et Libertés ).
La délégation de contrôle a constaté que si la société a pris certaines mesures lorsqu’elle a eu connaissance de la violation de données, le service X souffrait toujours de plusieurs insuffisances en matière de sécurité qui continuaient de faire peser un risque sur la confidentialité des données à caractère personnel traitées.
Par décision du 4 octobre 2021, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de deux (2) mois le manquement constaté à l’obligation d’assurer la sécurité des données à caractère personnel prévue à l’article 32 du RGPD.
En application du dernier alinéa du II de l’article 20 la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 11 octobre 2021.
Après en avoir délibéré, le bureau estime que la publicité de la décision de mise en demeure est justifiée en raison notamment de la sensibilité des données traitées et de la nécessité d’assurer l’entière information de l’ensemble des personnes concernés par les traitements en cause, ainsi que des organismes ayant recours aux services de la société X, sur l’existence de manquements persistants à la sécurité des données.
Le bureau souligne qu’outre les résultats des personnes concernées aux tests antigéniques au SARS-CoV-2, et qui permettent donc de savoir si une personne est porteuse ou non de ce virus, la société X traite un grand nombre de données directement identifiantes, dont le numéro de sécurité sociale (NIR), donnée à caractère hautement personnel.
Le bureau souligne que la publicité de la décision de mise en demeure se justifie également pour alerter l’ensemble des acteurs du monde de la santé, qu’ils soient responsables de traitement ou sous-traitant, sur la nécessité d’assurer au maximum la sécurité des données qu’ils traitent et des risques qu’un manque de vigilance de leur part peut faire peser sur ces données.
Le bureau rappelle à cet égard que figurent, parmi les priorités identifiées par la CNIL pour sa stratégie de contrôle pour l’année 2021, le traitement des données de santé et, plus particulièrement, les mesures mises en œuvre pour assurer leur sécurité.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° MED-2021-093 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. Si la société se conforme en tout point aux exigences de la mise en demeure dans le délai imparti, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de leur publication.
La Présidente
Marie-Laure DENIS